Do U wanna HIDE process? Just rm the /bin/ps )
--==--==--==--==--==--==--==--==--==--==--==--==--==--==--==--==--==--==--==--==

                       None-Disclosure vs Full-Disclosure
                       ===============+==+===============

                                                       
Intro
=====

С   самого   своего   появления  Хакер  стремился  сделать  закрытую  информацию
общедоступной. К чему все это привело?? К тому, что баги перестали быть багами в
своем  первоначальном смысле - средство, позволяющее нам сделать что-то, чего не
могут  другие.  Сейчас  баги  это  не  больше  чем  новое сообщение в BT с целью
продемонстировать   свои  шедевральные  способности  к  секурити  анализингу  на
публике, показать миру свое имя. Со стороны самих постеров это преподносится как
``благородный  жест  хакера'',  но  на  самом  деле есть ничто иное, как обычное
понтерство,  которое не только не двигает вас по жизни, но и мешает другим. Зато
более  продвинутые люди создают компании, клиенты которых, заплатив определенную
сумму  денег,  могут  ``своевременно'' [ в большинстве случаев на день-два позже
публикации  в  BT ] получать подробности обнаруженных уязвимостей и рекомендации
по  их  устранению.  Среди  подобных  контор  очень  известна  iDefence, которая
покупает  непубликовавшиеся  баги.  А  вот PTSecurity, к примеру, пополняет базу
своего  коммерческого  сканера  [ XSpider ] за счет постов в BT. Согласны ли вы,
чтобы все эти люди наживались на вашем труде??

Полагаю  что нет. Тогда зачем обнародовать баги?? Ведь куда спокойнее, когда вам
не  нужно  гнаться  за другими, чтобы урвать свой приз. Когда вы просто достаете
нужный  солюшен из своей частной коллекции и безмятежно применяете его, зная что
атака хорошо замаскирована, и что шанс засветить проблему очень невелик..


How to trade
============

Трэйдинг эксплоитов, сам по себе не сильно отличается от публикации в том же BT.
Поскольку, чем больше людей имеет эксплоит, тем дальше он уйдет [ по секрету, по
старой  дружбе,  0day  ftp  was  0wned  etc ]. Поэтому прежде чем засветить свое
творение кому-то другому, убедитесь что:

1.  эксплоит  не  представляет  для  вас  [  как  и  для всех остальных ] особой
ценности.  То  есть речь идет о каком-нибудь бесплатном http-сервере для windows
или  чем-то подобном. Такой вариант прокатит на warez hunterz, которым важен сам
факт обладания 0day.

2.  при  обмене  какого-то  более-менее полезного вареза вы убрали из него такие
фичи  как  mass_scan,  bruteforce, etc ну а самое главное, усложнили возможность
понимания атаки до невозможности. кому надо, тот сам разберется и допишет.

Не  допускайте  трэйда  ради  трэйда,  пользуйтесь  этой возможностью только при
необходимости,  ведь  так  или  иначе  вам  приходится раскрывать свои карты. Не
продавайте  эксплоиты  -  это  аморально.  Не  делитесь  ни  с кем коммерческими
security  analysing  tools,  демонстрационные версии которых недоступны в сети -
которые распространяются исключительно прямыми продажами.

Ну и главное. Старайтесь добывать чужие эксплоиты, не давая взамен свои. То есть
разводите, ломайте, обещайте. Не меняйтесь своими текстами - код для большинства
менее  понятен  чем  хорошее  описание  проблемы  [ особенно если вы последовали
совету из пункта 2 ].


Source of Evil
==============

Закрывайте   источники   распространения   security-related  информации.  Именно
закрывайте:  пишите  жалобы  хостерам, удаляйте сайты, а не просто дефейсите их.
Если  удалить хотя бы половину хакИрских сайтов на narod.ru/by.ru, то по запросу
``хак''  в  поисковой  системе  будет  выводиться  куда  меньше  информации  для
потенциальных хакИров, которых пугают слова ``аналитика'' и ``вторжение''.


Outro
=====

Здесь  просто  представлены  некоторые  мысли,  которые возможно кому-то помогут
пойти в правильном направлении.